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Abstract 


A vehicle may be reserved by telephoning a central station (1) that has a management computer (2). 
Communication may be made via a telephone network to a fixed station having a radio telephone (7). The 
vehicle (8) has a microprocessor (20) to which is coupled a mobile telephone (12). Other inputs are provided 
by the vehicle tachometer (16), card reader (15), keyboard (19) and infrared interface (17). Access to the 
vehicle requires that a user chip card (23) is entered into the infrared hand-held unit (22). An identification 
number has to be entered through the keyboard. 
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Beschreibung 

Die Erfindung betrifft ein elektronisches System, das 
eine kostengunstige, effektive Verwaltung gemein- 
schaftiich genutzter Kraftfahrzeuge ermoglichen soil. 5 

In vielen Stadten wurden in den letzten Jahren soge- 
nannte Carsharing-Organisationen gegriindet, die ihren 
Mitgliedern einen Uber das Stadtgebiet verteilten Fahr- 
zeugpark zur stundenweisen Nutzung zur Verfugung 
stellen. Der Nutzer muB dabei nur fur die tatsachlich 10 
gefahrenen Kilometer und die Nutzungszeit bezahlen. 
Carsharing ist ftlr Wenigfahrer daher eine giinstige Al- 
ternative zum eigenen PKW. Vor der Fahrt muB der 
Nutzer eine Reservierung des gewlinschten Fahrzeugs 
bei einer Zentrale anmelden. Den Fahrzeugschliissel er- 15 
halt er mit Hilfe eines Generalschlussels aus einem Tre- 
sor am Fahrzeugstandort Nach der Fahrt werden die 
Daten vom Nutzer in ein Fahrtenbuch eingetragen, des- 
sen Auswertung die Abrechnung ermoglicht 

Probleme, die bei der Organisation auftreten sind: 20 

— keine Kontrolle der tatsachlichen Fahrzeugnut- 
zung, da jeder Nutzer uneingeschrankten Zugang 
zu den Fahrzeugen hat 

— fehlertrSchtige und manipulationsgefahrdete 25 
Datenerfassung 

— hoher Verwaltungsaufwand fur Nutzer und Be- 
treiber 

Stand der Technik sind elektronische Fahrtenschrei- 30 
ber, Taxameter und Fuhrpark-Management-Systeme, 
die jedoch fur diese Anwendung nicht geeignet sind, da 
diese: 

— keine Zugangs kontrolle zu den Fahrzeugen er- 35 
mdglichen 

— keine individuelle Nutzeridentifikation ermogli- 
chen 

— keine Datenverbindung zur Zentrale besitzen 

40 

Der Erfindung Iiegt die Aufgabe zugrunde, eine effek- 
tive, kostengQnstige und manipulationssichere Verwal- 
tung gemeinschaftlich genutzter Kraftfahrzeuge (Cars- 
haring) zu ermoglichen. Die Aufgabe wird durch ein 
fahrzeuggebundenes System mit den Merkmalen des 45 
Patentanspruchs gelSst. 

Die Erfindung wird anhand von Zeichnungen naher 
erlautert Es zeigen: 

Fig. 1 Ein Blockschaltbild des Gesamtsystems, 

Fig. 2 Ein Blockschaltbild der Obertragungseinrich- 50 
tung, 

Fig. 3 Ein Blockschaltbild des Aufbaus der Infrarot- 
Chipkarten-Schnittstelle. 

In Fig. 1 wird die erfindungsgemaBe Anordnung 
durch ein vereinfachtes Blockschaltbild erlautert 55 

Die vier wesentlichen Grundgedanken sind: 

1. Die drahtlose Sprach- und Datenkommunikation 
zwischen Zentrale und Fahrzeug fiber ein modifi- 
ziertes schnurloses Telefon, 60 

2. Die Nutzeridentifikation uber multifunktionale 
Mikroprozessor-Chipkarten, 

3. Die Zugangskontrolle uber eine Infrarot-Chip- 
karten-Schnittstelle (Wegfall des Standorttresors), 

4. Die Steuerung des Gesamtsystems uber einen 65 
einzigen Mikroprozessor: 

Der Nutzer klart die Reservierung wie bisher telefo- 
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nisch mit der Zentrale (1). Ein Rechner (2) mit einem 
Reservationsprogramm Ubernimmt die Koordinierung 
der Reservierungen und ubermittelt anschlieDend die 
Nutzerdaten mit Hilfe eines gangigen Modems (3) Qber 
das Telefonnetz (5) bis zur Feststation (7) eines schnur- 
losen Telefons in der NShe des Standorts (6). Ober die 
Funkstrecke des schnurlosen Telefons gelangen die Da- 
ten zum Mobilteil (12) im reservierten Fahrzeug (8) und 
werden dort gespeichert. Das Modem (13) und die An- 
wahlschaltung (14) werden zusatzlich in das Mobilteil 
(12) eingebaut Das schnurlose Telefon ist far diese An- 
wendung sehr gut geeignet, da es eine kostengtinstige, 
individuelle Kommunikation mit jedem Fahrzeug er- 
moglicht Die Einschrankung, daB das Fahrzeug nur im 
Umkreis von ca. 300 m um die Feststation erreichbar ist, 
ist unbedeutend, da das Fahrzeug nur an seinem Stand- 
ort erreichbar sein muB. 

Zurr en des Fahrzeugs muB der Nutzer (21) seine 
person Chipkarte (23) in das Infrarot-Handgerat 

(22) eir jn. Uber die Infrarotstrecke konnen Chip- 
karte (2j und Prozessor (20) im Fahrzeug miteinander 
kommunizieren. Nach Prufling der Rucksetzantwort 
der Chipkarte (nachfolgend gemaB dem engl. Sprachge- 
brauch abkurzend als ATR (Answer to Reset) bezeich- 
net), sendet der Prozessor (20) den Befehl zum Offnen 
der Zugangskontroll-Applikation zur Chipkarte. Die 
personliche Identifikationsnummer (nachfolgend gemaB 
dem engl. Sprachgebrauch abkurzend als PIN (Personal 
Identification Number) bezeichnet) ist fur diese Appli- 
kation bei alien Karten dieselbe und kann somit direkt 
vom Prozessor (20) zur Karte (23) ubertragen werden. 
Das Infrarot-Handgerat (22) kommt daher ohne Tasta- 
tur aus. Die Zugangsberechtigung wird mittels eines auf 
der Chipkarte implementierten kryptographischen Al- 
gorithmus (z. B. Data Encryption Standard) iiberpruft. 
Hierzu sendet das Fahrzeugsystem eine Zufallszahl per 
Infrarotiibertragung zur Chipkarte. Die Karte fiihrt die 
entsprechende Verschlusselung durch und sendet die 
Antwort zuriick. Nur bei richtiger Antwort wird die 
Zentralverriegelung (10) des Fahrzeugs geoffnet. Ein 
Abhoren der Obertragung kann nicht zum illegalen Off- 
nen des Fahrzeugs verwendet werden, da jedem Off- 
nungsvorgang eine andere Zufallszahl zugrunde iiegt. 
Zusatzlich kann auch die auf der Karte gespeicherte 
Nutzeridentitat abgefragt werden, um nur den Perso- 
nen, die nicht in einer Sperriiste im Fahrzeug gespei- 
chert sind, den Zugang zu ermoglichen. 

Die eigentliche Nutzeridentifikation erfolgt erst im 
Fahrzeuginnern. Hier muB der Nutzer seine Chipkarte 

(23) in den Kartenleser (15) einfiihren und die richtige 
PIN auf der Tastatur (19) eingeben. PIN und Applika- 
tion sind hierbei verschieden zur Zugangskontrolle. Ein 
unberechtigtes Abhoren der IR-Obertragung ermog- 
licht daher nicht das Ausspahen der fur die Nutzeriden- 
tifikation erforderlichen PIN. Die auf der Karte gespei- 
cherte Nutzerkennung besteht aus der Nutzemummer 
und einem daraus mit einem geheimen Schlussel berech- 
neten Nachrichtenauthentikationscode (nachfolgend 
gemaB dem engl. Sprachgebrauch abkurzend als MAC 
(Message Authentication Code) bezeichnet, der das Fal- 
schen der Nutzemummer verhindern soli. Nur wenn 
PIN und MAC korrekt sind und eine Reservierung des 
aktueilen Nutzers fur den momentanen Zeitraum vor- 
liegt, wird die Ziindung (11) freigegeben und cer Fahr- 
zeugschliissel aus seiner mechanischen Verriegelung (9) 
gelost. 

Wahrend der Fahrt werden die gefahrenen Kilometer 
uber einen Tachosensor (16) erfaBt und in eir.em batte- 
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riegepufferten Speicher (18) abgelegt Ober entspre- 
chende Sensoren konnen auch weitere Daten erfaBt 
werden. 

Die Fahrt wird vom Nutzer durch Betatigung einer 
Taste beendet Das Fahrzeugsystem priift, ob sich das 
Fahrzeug an seinem Standort befindet, indem es die 
Empfangskennung des schnurlosen Telefons abfragt 
AnschiieBend erfolgt mittels der Anwahlschaltung (14) 
eine automatische Anwahl der Zentrale (1) mit nachfol- 
gender Obertragung von Nutzernammer und gesam- 
melten Daten. Uber eine Umschaltung des Mobilteils 
(12) des schnurlosen Telefons auf Sprachubertragung 
konnen evtL aufgetretene Schaden direkt aus dem Fahr- 
zeug einem Telefon (4) in der Zentrale mitgeteilt wer- 
den. Ein Abrechnungsprogramm in der Zentrale erstellt 
anhand der iibertragenen Daten automatisch eine Rech- 
nung. 

Fig. 2 zeigt in einem Blockschaltbild die Veranderun- 
gen am Mobilteil (12) des schnurlosen Telefons, die eine 
DatenObertragung ermoglichen. Ein Teil der erforderli- 
chen Bausteine (Decoder (37) und Analogschalter (38)) 
werden zwecks Einsparung von Kabeln in die Akku- 
Box des schnurlosen Telefons eingebaut Als Modem 
(32) konnen alle handelsublichen Telefon-Modem-Bau- 
steine verwendet werden. Der Modulatorausgang (33) 
wird uber einen Umschaltkontakt eines Relais (28) di- 
rekt an den NF-Verstarker (29) des schnurlosen Tele- 
fons angeschlossen, der das Signal zum HF-Teil (30) 
weiterleitet. Das Relais (28) ermoglicht das prozessor- 
gesteuerte Umschalten zwischen Mikrofon (31) 
(Sprachubertragung) und Modulatorausgang (33) (Da- 
teniibertragung). Der Demodulatoreingang (34) ist di- 
rekt an den NF-Empfangsverstarker (35), parallel zum 
Lautsprecher(36), geschaltet. Die Datenubertragung er- 
folgt uber die serieile Schnittstelle (25) des Mikropro- 
zessors (24). 

Die Anwahlschaltung (14) besteht aus einem 4-zu- 
16-Decoder (37) und 16 Analogschaltern (38), die paral- 
lel zum Tastaturfeld (39) des Telefons geschaitet sind. 
Ober 4 Datenleitungen konnen so 16 Tasten des Tele- 
fons vom Prozessor (24) gesteuert werden. Zusatzlich 
werden dem Prozessor (24) das Anrufsignal (27) und die 
• Empfangsbereichskennung (26) zugefiihrt. Hierdurch 
wird die automatische Beantwortung ankommender 
Rufe und die Standorterkennung ermoglicht. 

Das Datenubertragungsprotokoll muB eine fehler- 
freie Obertragung gewahrieisten. Weder die zeitweise 
stark verrauschte Ubertragungsstrecke noch der Aus- 
fall der Verbindung wahrend des Kenncodes des 
schnurlosen Telefons (alle 15 s fur ca. 200 ms) durfen 
Fehler verursachen. Hierfur sind alle gangigen Block- 
Protokolle mit CRC-Oberwachung und Blockfolge- 
steuerung geeignet. 

Fig. 3 zeigt den Aufbau der Infrarot-Chipkarten- 
Schnittstelle (17) und des IR-Handgerates (22). Sie die- 
nen dazu, dem Nutzer einen Zugang zum Fahrzeug mit 
Hilfe einer kontaktbehafteten Chipkarte (23) zu ermog- 
lichen, ohne Veranderungen am AuBeren des Fahrzeugs 
(Einbau einer Kontaktiereinheit) vornehmen zu mussen. 
Nach Einschieben der Chipkarte (23) in die Kontaktie- 
reinheit (41) des Handgerats (40) und durch Betatigung 
des Tasters (47) wird die Spannungsversorgung (42) und 
der Taktgenerator (48) eingeschaltet. Die Datenleitung 
(45) der Chipkarte wird auf logisch "1" gelegt und die 
Kane wird mit dem Systemtakt (44) versorgt. Da die 
Empfangsdiode (55) im Handgerat kein Signal emp- 
fangt, wird uber die Tragererkennung (52) des Fre- 
quenzumtast-Demodulators (54) (nachfolgend gemSB 
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dem engl. Sprachgebrauch abkOrzend als FSK-Demo- 
dulator bezeichnet) der Sendetreiber (50) durchgeschal- 
tet und das vom FSK-Modulator (49) mit der.Frequenz 
411 modulierte Signal uber die Sendediode (53) ausge- 
sendet Das System im Fahrzeug (56)' befindet sich zu 
dieser Zeit in einem stromsparenden Betriebszustand. 
Nur der FSK-Demodulator (64) ist eingeschaltet. Dieser 
schaltet aufgrund des an der Empfangsdiode (65) an- 
kommenden Signals mit der Tragerkennung (61) uber 
eine Einschaltlogik (60) den Prozessor (57) ein. Der Sen- 
detreiber (58) im Fahrzeug wird gesperrt Nach einer 
durch eine Verzogerungsschaltung (46) bestimmten 
Zeitverzogerung wird im Handgerat ein Rucksetzen 
(43) der Chipkarte ausgelost. Die Karte antwortet mit 
dem ATR (Answer to Reset), dessen Bitfolge mit den 
Frequenzen fat und fao frequenzmoduliert uber die In- 
frarot-Strecke zum Fahrzeug iibertragen wird Ist die 
vollstandige Meldung im Fahrzeug angekommen, schal- 
tet der Prozessor (57) den Sendetreiber (58) im Fahr- 
zeug ein und ein Signal mit der Frequenz fpi wird iiber 
die Sendediode (62) ausgesendet. Der FSK-Demodula- 
tor (54) im Handgerat erkennt den Trager und deakti- 
viert den Sendetreiber (50) im Handgerat. Gleichzeitig 
wird der FSK-Demodulator (54) uber den Empfangs- 
treiber (51) auf die Datenleitung (I/O) (45) der Chipkarte 
geschaltet. Nun kann der Prozessor (57) einen mit den 
Frequenzen fFi und fFo modulierten Befehl uber die se- 
rieile Schnittstelle (63) zur Chipkarte senden. Nach dem 
Aussenden wird der Sendetreiber (58) im Fahrzeug wie- 
30 der ausgeschaltet und die Obertragungsrichtung kehrt 
sich somit wieder urn. Der FSK-Modulator (49) im 
Handgerat sendet in einem hohen Frequenzbereich mit 
den Frequenzen f H i und fao, der FSK-Modulator (59) im 
Fahrzeug sendet in einem tieferen Frequenzbereich mit 
den Frequenzen fFi und fFo- Eine Stoning der Umschal- 
tung der Obertragungsrichtung durch Reflexionen an 
Fahrzeugteilen (Scheiben, Spiegel, Lack) wird so ver- 
mieden. 

Die Eigenschaften des erfindungsgemaBen Systems 
lassen sich somit wie folgt kurz zusammenfassen: 

— Wegfall des bisher benotigten Standorttresors 
durch ein kryptographisch geschutztes Infrarot- 
Zugangskontrollverfahren mit kontaktbehafteten, 
multifunktionaien Mikroprozessor-Chipkarten, 
— ■ Oberwachung der Fahrzeugnutzung durch indi- 
viduelle Nutzeridentifikation, Reservierungskon- 
trolle und Fahrdatenerfassung, 

— kostengunstige bidirektionale Daten- und 
Sprachverbindung zur Obertragung von Reservie- 
rungsdaten und Fahrdaten zwischen Zemrale und 
Fahrzeug am Standort. 
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Patentanspruch 

Ein fahrzeuggebundenes System zur Reservierung, 
Zugangskontrolle, Nutzeridentifikation und Fahr- 
datenerfassung gemeinschaftlich genutzter Kraft- 
fahrzeuge, wie z. B. beim Carsharing, dadurch ge- 
kennzeichnet 

— daB eine von einem Mikroprozessor gesteu- 
erte bidirektionale Daten- und Sprachubertra- 
gung zur Obermittlung von Reservierungsda- 
ten und Fahrdaten zwischen Fahrzeug und 
Zentrale mittels eines schnurlosen Telefons 
stattfindet, wobei das im Fahrzeug installiene 
Mobilteil (12) des schnurlosen Telefons durch 
einen Modembaustein (13) und eine prozessor- 
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gesteuerte Anwahlschaltung (14) und ein Urn- 
schaltrelais (28) erganzt wird, wlhrend auf Sei- 
te der Zentrale ein handelsubliches Modem (3) 
eingesetzt wird und 

— daB eine kryptographisch geschutzte Zu- 5 
gangskontrolle fiber eine bidirektionale Infra- 
rot- Kommunikation zwischen einer in ein In- 
frarot-Handgerat (22) eingefiihrten kontakt- 
behafteten multifunktionalen Mikroprozes- 
sor-Chipkarte (23) und einer Infrarot-Schnitt- 10 
stelle (17) im Fahrzeugsystem stattfindet, die 
bei richtiger Authentikation der Chipkarte die 
Zentralverriegelung (10) des Fahrzeugs offnet, 
wobei das Einschalten des Fahrzeugsystems 
und die Umschaltung der Obertragungsrich- 15 
tung im Handgerat durch die Tragerkennung 
(61 bzw. 52) zwcier FSK-Demodulatoren (64 
bzw. 54) realisiert wird und die Chipkarte iiber 
eine gesonderte Applikation zur Authentika- 
tion der Karte durch Verschltisselung der vom 20 
Fahrzeugsystem gesendeten Zufallszahlen 
verfiigt und 

— daB im Fahrzeuginnern eine Nutzeridentifi- 
kation iiber eine andere Applikation derselben 
multifunktionalen Mikroprozessor-Chip karte 25 
abgewickelt wird, die im Gegensatz zur Zu- 
gangskontroll-Applikation durch eine indivi- 
duelle PIN abgesichert ist und die — bei Ober- 
einstimmung der Nutzerdaten und der aktuel- 
Ien Zeit mit den empfangenen Buchungsdaten 30 

— den Fahrzeugschliissel aus einer mechani- 
schen Verriegelung (10) lost und die Ziindung 
(11) freigibt, wobei die Echtheit der auf der 
Karte gespeicherten Nutzernummer iiber ei- 
nen zusatzlich auf der Karte gespeicherten 35 
Nachrichtenauthentikationscode (MAC) ge- 
prtift wird. 
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